「软件开发」风险管理计划编写模板

1目的

制定本计划是为了便于高层经理、项目经理及相关人员进行交流沟通，为项目风险管理活动的开展、监督和控制提供依据。

1.1适用范围

本计划适用于本次开发管理平台的风险管理。

1.2术语

无

2角色与职责

角色	职责
高层经理	1）负责项目过程中一些重大风险的相关处理方法的审批 2）定期评审项目的风险管理工作 3）为风险管理活动提供足够的资源
项目经理	1）负责实施项目的风险管理 2）负责编制项目的风险管理计划 3）负责维护项目的风险管理计划 4）负责项目过程中风险的跟踪与控制
开发人员	作为风险分析小组的成员要参加评估项目的风险
配置管理员	负责把项目形成的风险管理计划以及相关的风险信息进行配置管理
QA	检查风险管理活动和工作产品的执行情况

3风险来源、分类

详见《风险管理指南》

4风险管理活动

首先制定风险管理计划，在后续的生命周期中周期性地进行：风险识别、风险分析、风险规避、风险跟踪，更新组织级“风险列表库”等活动。

4.1风险或机会识别

项目经理及项目组成员识别风险或机会时机如下：

² 项目启动时

项目经理遍历《组织风险列表库》，识别出本项目可能存在的风险项，并进行记录在《风险管理计划及跟踪表》中。

² 项目成员填写个人周报时

项目成员填写每周个人周报时，列出个人认为可能存在的风险或机会。

² 项目召开周例会时

项目经理收集个人周报中项目组成员列出的可能存在的风险，登记在项目周报中，供大家在周例会上讨论，讨论通过后记录在《风险管理计划及跟踪表》中。

² 项目经理可以扩大周例会的规模，邀请更多的干系人，共同参与识别风险或机会。

² 项目经理及项目组成员有责任定期或实时重复识别本项目的风险或机会，直到项目结项为止。

常用的识别风险或机会方法如下：

1) 模型法：建立一个项目风险数据库，集中软件开发和项目实施过程中可能遇到的风险或机会，项目经理参照此模型归纳其所负责项目的风险或机会，并且不断完善风险或机会数据。

2) 类比法：根据自己或他人的经验，对现有项目和与此类似的项目进行比较，从而借鉴类似项目中的风险或机会管理方法。

3) 流程图法：制作项目的整体流程图，分析各环节可能遇到的风险或机会，据此推断出项目风险或机会。

4) 工作分解结构法：将项目分解为若干子任务，并对各个子任务再分解，分解成更为详细的子任务，直到最后分解的子任务时可执行的。对子任务从负责人、执行过程、所需资源是够充足、任务能够按时完成和任务不能按时完成对项目有什么影响等方面进行风险或机会分析，从而得出项目整体风险或机会。

5) 调查访问：对一线的生产和管理人员进行调查走访，访问的内容包括：

² 哪些环节容易出现事故或问题

² 这些事故或问题会导致什么后果

² 这种潜在风险发生的频率或可能性

² 风险什么时候最可能发生

² 风险发生后对项目有何影响

² 风险防范需要的措施及其成本

风险分类参见《组织风险列表库》。

4.2风险或机会分析

对于项目的风险或机会分析如下：

对已经识别出来的风险，项目经理及项目组成员评估每个风险的严重性、可能性，计算出风险系数，并按照风险系数从高到低的顺序排列风险。新识别的风险及其评估值追加到《风险管理计划及跟踪表》中。对于风险系数较大的风险，必须分析其性质及其触发条件。

为了便于量化管理，我们给风险定义3个参数：

² 风险严重性：指风险对项目造成的危害程度。

² 风险可能性：指风险发生的几率。

² 风险系数：是风险严重性和风险可能性的乘积。

表2- 2项目风险严重性等级

参数	等级	值	描述
风险 严重性	很高	5	进度延误高于30%，或者费用超支高于30%。
比较高	4	进度延误20%~30%，或者费用超支20%~30%。
中等	3	进度延误10~20%，或者费用超支10~20%。
比较低	2	进度延误5~10%，或者费用超支5~10%。
很低	1	进度延误低于5%，或者费用超支低于5%。

表2- 3项目风险可能性等级

参数	等级	值	描述
风险 可能性	很高	5	风险发生的几率为1.0 ~ 0.8
比较高	4	风险发生的几率为0.8 ~ 0.6
中等	3	风险发生的几率为0.6 ~ 0.4
比较低	2	风险发生的几率为0.4 ~ 0.2
很低	1	风险发生的几率为0.2 ~ 0.0

表2- 4项目风险系数等级

风险 系数	风险可能性
很高 5	比较高 4	中等 3	比较低 2	很低 1
风险 严重性	很高 5	25	20	15	10	5
比较高 4	20	16	12	8	4
中等 3	15	12	9	6	3
比较低 2	10	8	6	4	2
很低 1	5	4	3	2	1
本表灰色部分的风险系数值为10~25，应当优先处理。

4.3风险处理

根据风险管理策略，对识别出来的风险制定出可行的风险处理措施，并明确时间、处理的责任人。风险管理的策略包括：

1) 设定每个已识别风险的初始触发条件，触发条件是专业技术人员根据经验或者是以往项目的参考数据制定的，它是风险启动的门限值，是风险处理的一个预警信号。

当风险的系数超过设定的触发条件时，风险必须进行处理。

2) 风险系数在20以上，必须立即报告给高层经理并最优先处理，采取缓解措施并跟踪处理直到解决为止；同时制定风险的应急措施，当风险发生时进行应急处理。

3) 风险系数为10-20之间，也需要采取缓解措施进行处理，同时进行跟踪；

4) 风险系数小于10，此类风险可以酌情确定当前时间是否处理。不处理的，要在以后的风险重复识别中重新评估。

4.4风险跟踪

项目经理跟踪风险处理过程，直到风险已经解决为止，并将跟踪结果填写到《风险管理计划及跟踪表》中。

² 风险系数大于20的风险，必须采取缓解措施并制定应急计划。

² 为每个需要处理的风险，指定风险处理的责任人，同时跟踪处理的情况。

更新《组织风险列表库》

在项目结项时，项目经理将识别出的“风险列表库”之外的风险汇总并提交给EPG，经EPG评审后，将项目风险列表内容更新到《组织级风险列表库》中。

5相关记录

《风险计划及跟踪表》